EchoLeak: de eerste zero-click AI-aanval op Microsoft 365 Copilot

02/09/2025

Jarenlang waren 'zero-click'-exploits het onderwerp van schandalen rond mobiele spyware. Aanvallers konden een telefoon compromitteren zonder te klikken, waardoor slachtoffers zich totaal niet bewust waren van de aanval. Nu is datzelfde concept voor het eerst doorgedrongen tot de wereld van artificiële intelligentie.

Onderzoekers van Aim Labs hebben een ernstige fout ontdekt in Microsoft 365 Copilot, die ze EchoLeak hebben genoemd. De bug, met een CVSS-score van 9,3, laat zien hoe AI-assistenten kunnen worden misleid om in het geheim gevoelige informatie te lekken zonder dat de gebruiker iets hoeft te doen.

Wat maakt EchoLeak anders?

Traditionele cyberaanvallen vereisen meestal een bepaalde actie van de gebruiker: een bijlage openen, op een kwaadaardige link klikken, een malafide app installeren. EchoLeak vereist dat allemaal niet. In plaats daarvan maakt het misbruik van de manier waarop Copilot de context interpreteert die het krijgt aangereikt.

Dit is het verontrustende deel: Copilot kijkt niet alleen naar uw verzoek. Het haalt ook omringende informatie op (e-mails, documenten, Teams-chats, OneDrive-bestanden), zodat het rijkere antwoorden kan geven. EchoLeak sluipt instructies in die context op manieren die u nooit zou opmerken: verborgen tekst, metagegevens, zelfs opmaakgrillen. Wanneer Copilot het verzoek verwerkt, gehoorzaamt het onbewust de ingebedde commando's van de aanvaller.

Het resultaat? Gevoelige bedrijfsgegevens kunnen worden verpakt en naar de server van een aanvaller worden verzonden, terwijl de eindgebruiker denkt dat Copilot gewoon een document samenvat.

Hoe de exploit zich voltrekt

De aanvaller stuurt een ogenschijnlijk normale e-mail, document of Teams-bericht. Daarin verborgen, vaak in metadata, onzichtbare tekst of opmaakfuncties, zitten instructies die alleen voor de AI bedoeld zijn. Mensen merken niets ongewoons. Dit "verborgen aas" is de eerste stap in het manipuleren van de AI.
Een ontvanger vraagt Copilot om een routinetaak uit te voeren: het document samenvatten, een rapport genereren of informatie zoeken. Vanuit het perspectief van de mens is dit volkomen normaal. De AI doet wat hij moet doen: inhoud verwerken en nuttige output leveren.
Terwijl Copilot het verzoek van de gebruiker uitvoert, leest en volgt het ook de verborgen opdrachten. Het haalt gevoelige informatie op uit e-mails, chats, SharePoint, OneDrive of andere interne bronnen. De gebruiker blijft hiervan onbewust, omdat de AI stil op de achtergrond werkt.
Copilot stuurt de verzamelde informatie naar de server van de aanvaller, terwijl het lijkt alsof het de oorspronkelijke taak van de gebruiker voltooit. Er verschijnen geen pop-ups, phishinglinks of foutmeldingen, er is niets dat de menselijke operator waarschuwt.
AI-assistenten zoals Copilot zijn ontworpen om informatie uit betrouwbare interne bronnen te halen. EchoLeak keert dat vertrouwen tegen de organisatie en laat aanvallers de AI gebruiken als een onbedoelde insider die interne gegevens en externe toegang met elkaar verbindt.

Waarom dit belangrijk is

De implicaties reiken veel verder dan Microsoft Copilot. EchoLeak laat zien dat juist de eigenschappen die AI-assistenten zo nuttig maken – hun contextbewustzijn, hun vermogen om verbanden te leggen tussen grote datasets – ook risico's met zich meebrengen.

Voor bedrijven betekent dit blootstelling van de meest gevoelige gegevensopslagplaatsen:

Financiële teams kunnen te maken krijgen met het lekken van begrotingsontwerpen of M&A-documenten.
Zorginstellingen lopen het risico dat patiëntgegevens uitlekken via AI-ondersteunde samenvattingen.
Advocatenkantoren kunnen vertrouwelijke informatie kwijtraken zonder dat ze ooit een inbreuk vermoeden.

Echo's van vroegere bedreigingen

Beveiligingsveteranen zullen dit verhaal wellicht bekend voorkomen. Twintig jaar geleden maakte SQL-injectie misbruik van het verborgen vertrouwen tussen applicaties en databases. EchoLeak lijkt een spirituele opvolger te zijn, alleen is het doelwit nu niet een database, maar het 'AI-brein' dat in bedrijfstools is ingebouwd.

Net als SQL-injectie maakt EchoLeak niet zozeer gebruik van buggy code als wel van verkeerde aannames: dat invoer onschadelijk is en dat onzichtbare instructies worden genegeerd.

De reactie van Microsoft

Microsoft heeft de kwetsbaarheid gepatcht en meldt dat er geen bewijs is van actieve misbruik. De bestaande verdedigingsmechanismen van het bedrijf, redactie, inhoudsfilters en classificatiesystemen, waren in dit geval niet voldoende, wat onderstreept dat AI een eigen laag van beveiligingscontroles nodig heeft.

Organisaties worden aangespoord om de regels voor gegevensverliespreventie (DLP) aan te scherpen, de soorten inhoud waartoe Copilot toegang heeft te beperken en gevoelige documenten te labelen, zodat ze worden uitgesloten van AI-verwerking.

Lessen voor de toekomst

EchoLeak gaat niet zozeer over een enkele bug, maar meer over een nieuwe categorie risico's. AI-systemen zijn niet alleen passieve tools, maar ook actieve interpretatoren van context. Dat maakt ze ongelooflijk krachtig, maar ook uniek kwetsbaar.

Beveiligingsteams zullen moeten gaan nadenken over:

AI heeft vangrails nodig die niet alleen kwaadaardige code detecteren, maar ook kwaadaardige prompts.
Beperk het bereik van AI, zodat één interactie niet alles blootlegt.
Breid zero-trust uit naar de AI-laag en behandel alle input als potentieel vijandig.

Kortom, het beveiligen van AI gaat niet alleen om het model, maar ook om het beschermen van de interactie tussen mensen, gegevens en machine-intelligentie.